Stausholm sætter standarden

• Af:
  
• Thomas Hasselriis

En af dem, som formulerer det kommende CRA-direktiv, der skal træde i kraft pr. 11. december 2027, er blandt andre Alexandra Insituttets Principal Security Architect Michael Bladt Stausholm:

”CRA skal beskytte alle produkter med digitale elementer – både hard- og software – og deres brugere. Men loven kan være svær at fortolke, og det er her, standarderne kommer ind i billedet”, forklarer Michael Bladt Stausholm, der sidder i det særlige projektteam hos CEN/CENELEC, som arbejder med sårbarhedsvurderinger. CEN, CENELEC og ETSI udgør sammen det europæiske system for teknisk standardisering.

“I loven står der, at man skal sørge for, at der ikke er en kendt sårbarhed i ens produkt. Men hvad betyder det helt præcist?” eksemplificerer han. ”Det kan man med fordel finde ud af ved at følge en standard ”fortsætter Michael Bladt Stausholm.

Kun de mest kritiske produkter er forpligtet til at følge harmoniserede standarder eller få deres sikkerhed vurderet af en såkaldt ’notified body’. For de resterende mellem 90 og 95 procent er brugen af standarder frivillig, men, fordelagtig, understreger Michael Bladt Stausholm: 

“Hvis man følger en harmoniseret standard, må man formode, at éns produkt overholder loven. Og hvis der efterfølgende under en kontrol opdages mangler, er det standardens skyld, ikke virksomheden”.

Et centralt område i arbejdet er at sikre, at både nye og eksisterende produkter opfylder kravene. Det er en udfordring, især for ældre produkter, fortæller han:
“Det kan godt ske, at man har lavet et produkt på en gammel måde, men så skal det tilpasses og rettes til. Det betyder ikke nødvendigvis, at hele produktet skal genbygges, men man skal lave en ny trusselsvurdering og adressere de problemer, man finder”.

Et af de komplekse aspekter ved CRA er, hvordan loven interagerer med den eksisterende produktlovgivning. Som Michael Bladt Stausholm påpeger, er dette område særligt udfordrende for software, hvor en række eksisterende fortolkninger af loven er udfordret:
“Hvis man laver et stykke software, der ligger til download, hvornår er det så på markedet? Og hvis man laver en opdatering, hvornår er det så en væsentlig ændring, der kræver ny compliance? Det er spørgsmål, der arbejdes på at besvare” fortæller eksperten fra Alexandra Instituttet.
”CRA er en af de første love, der forsøger at regulere det vilde vesten inden for softwareudvikling”, understreger Michael Bladt Stausholm.
For ham er det essentielt at finde den rigtige balance mellem innovation og regulering: “Lovgivningen skal ikke skade innovationen i Europa, men af hensyn til brugerne og samfundet som helhed kommer der nu nogle krav, man ikke kan komme udenom.” siger  Michae Bladt,  Stausholm, som sammen med ekspertkolleger fra resten af Europa skriver de første udkast en standard, og når den er klar, sender den videre til nationale udvalg, som Dansk Standard, hvor repræsentanter fra medlemslandene vurderer dens kvalitet og anvendelighed.